Google heeft voor de zestiende keer dit jaar een actief aangevallen zerodaylek in Chrome verholpen. Niet eerder werden er zoveel zerodays in één jaar in de browser gevonden. Net als bij vorige updates geeft Google geen details over de doelwitten van deze aanvallen en hoe ze precies plaatsvonden.

Het beveiligingslek, aangeduid als CVE-2021-4102, bevindt zich in V8. Dit is de JavaScript-engine die Chrome en andere browsers gebruiken voor het uitvoeren van JavaScript en waarin het afgelopen jaar al tal van andere zerodaylekken werden gevonden. Een anonieme beveiligingsonderzoeker rapporteerde het probleem op 9 december aan Google

De impact van de kwetsbaarheid is als "high" beoordeeld. Het gaat in dit geval om beveiligingslekken waardoor een aanvaller in het ergste geval code binnen de context van de browser kan uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen. Ook kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hieronder. Het beveiligingslek is op zichzelf niet voldoende om een systeem over te nemen. Hiervoor zou een tweede kwetsbaarheid zijn vereist, bijvoorbeeld in het onderliggende besturingssysteem.

Naast de actief aangevallen zerodaylekken verhelpt de update ook verschillende andere kwetsbaarheden, waaronder een beveiligingslek (CVE-2021-4098) dat als kritiek is aangemerkt. Kritieke kwetsbaarheden komen zeer zelden voor in Chrome. Via dergelijke beveiligingslekken kan een aanvaller willekeurige code op het systeem van de gebruiker uitvoeren waarbij alleen het bezoeken van een website voldoende is. Er is geen verdere interactie van de gebruiker of een tweede kwetsbaarheid vereist. Dit beveiligingslek, dat door Google zelf werd gevonden, wordt niet actief aangevallen.

Gebruikers krijgen het advies om te updaten naar Google Chrome 96.0.4664.110, die beschikbaar is voor Linux, macOS en Windows. Dit zal op de meeste systemen automatisch gebeuren. Microsoft Edge Chromium is net als Chrome op de Chromium-browser gebaseerd. Naar verwachting zal Microsoft snel met een update voor de eigen browser komen.

Hieronder een overzicht van de zestien zerodaylekken in Google Chrome en wanneer ze zijn verholpen. Recentelijk bleek dat Google dit jaar een recordaantal zerodays heeft geregistreerd.

• CVE-2021-21148 - 4 februari
• CVE-2021-21166 - 2 maart
• CVE-2021-21193 - 12 maart
• CVE-2021-21220 - 13 april
• CVE-2021-21224 - 20 april
• CVE-2021-30551 - 9 juni
• CVE-2021-30554 - 17 juni
• CVE-2021-30563 - 15 juli
• CVE-2021-30632 - 13 september
• CVE-2021-30633 - 13 september
• CVE-2021-37973 - 24 september
• CVE-2021-37975 - 30 september
• CVE-2021-37976 - 30 september
• CVE-2021-38000 - 28 oktober
• CVE-2021-38003 - 28 oktober
• CVE-2021-4102 - 13 december